Home > Àüü±â»ç

ºÏÇÑ ¶óÀڷ罺 ÇØÅ·±×·ì, ¸¶ÀÌÅ©·Î¼ÒÇÁÆ® À©µµ IIS À¥ ¼­¹ö ³ë¸°´Ù

ÀÔ·Â : 2023-05-25 10:04
ÆäÀ̽ººÏ º¸³»±â Æ®À§ÅÍ º¸³»±â ³×À̹ö ¹êµå º¸³»±â Ä«Ä«¿À ½ºÅ丮 º¸³»±â ³×À̹ö ºí·Î±× º¸³»±â
Ãë¾àÁ¡ ÀÌ¿ëÇØ À¥½© ¼³Ä¡ ¶Ç´Â ¾Ç¼º ¸í·É ½ÇÇà...ÀÚ°ÝÁõ¸í Á¤º¸ Å»Ãë µµ±¸ ½ÇÇà ÃßÁ¤

[º¸¾È´º½º ±è¿µ¸í ±âÀÚ] ±¹°¡ Â÷¿øÀÇ Áö¿øÀ» ¹Þ´Â °ø°Ý ±×·ìÀ¸·Î ¾Ë·ÁÁø ºÏÇÑ ¶óÀڷ罺(Lazarus) ÇØÅ·±×·ìÀÌ ÃÖ±Ù ¸¶ÀÌÅ©·Î¼ÒÇÁÆ® À©µµ IIS(Internet Information Services) À¥ ¼­¹ö¸¦ ´ë»óÀ¸·Î °ø°ÝÀ» ¼öÇàÇÑ °ÍÀÌ È®ÀεƴÙ.

ÀϹÝÀûÀ¸·Î °ø°ÝÀÚµéÀº ½ºÄ³´× °á°ú Ãë¾àÇÑ ¹öÀüÀ» °®´Â À¥ ¼­¹ö°¡ È®ÀÎµÇ¸é ¹öÀü¿¡ ¸Â´Â Ãë¾àÁ¡À» ÀÌ¿ëÇØ À¥½©À» ¼³Ä¡Çϰųª ¾Ç¼º ¸í·ÉÀ» ½ÇÇàÇÑ´Ù. À̹ø °ø°ÝÀÇ ´ë»óÀº ¸¶ÀÌÅ©·Î¼ÒÇÁÆ® À©µµ ¼­¹ö ½Ã½ºÅÛÀÌ°í, IIS À¥ ¼­¹ö ÇÁ·Î¼¼½ºÀÎ w3wp.exe¿¡ ÀÇÇØ ¾Ç¼º ÇàÀ§°¡ ¼öÇàµÇ´Â °ÍÀÌ È®ÀεƴÙ. ÀÌ¿¡ µû¶ó °ø°ÝÀÚµéÀº ºÎÀûÀýÇÏ°Ô °ü¸®µÇ°í Àְųª Ãë¾àÇÑ À¥ ¼­¹ö¸¦ ÃÖÃÊ Ä§ÀÔ °æ·Î·Î ÇÑ µÚ ±× ÀÌÈÄ ¾Ç¼º ¸í·ÉÀ» ½ÇÇàÇÑ °ÍÀ¸·Î ÃßÁ¤µÈ´Ù.

[À̹ÌÁö=gettyimagesbank]


¾È·¦ ASEC ºÐ¼®ÆÀ¿¡ µû¸£¸é, °ø°ÝÀÚ´Â À©µµ IIS À¥ ¼­¹ö ÇÁ·Î¼¼½ºÀÎ w3wp.exe¸¦ ÅëÇØ Á¤»ó ÀÀ¿ë ÇÁ·Î±×·¥(Wordconv.exe)°ú ÇØ´ç ÇÁ·Î±×·¥ÀÌ ÂüÁ¶ÇÏ´Â ¾Ç¼º DLL(msvcr100.dll)À» µ¿ÀÏÇÑ Æú´õ °æ·Î¿¡ ¹èÄ¡ÇÏ°í ¾Ç¼º DLL ½ÇÇàÀ» À§ÇØ Á¤»ó ÀÀ¿ë ÇÁ·Î±×·¥À» ½ÇÇàÇß´Ù. ÀÌ·¯ÇÑ °ø°Ý ¼öÇà ¹æ½ÄÀ» ¸¶À̾î¾îÅÃ(MITRE ATT&CK)¿¡¼­´Â DLL Side-Loading(T1574.002) ±â¹ýÀ¸·Î ºÐ·ùÇÏ°í ÀÖ´Ù.

¶óÀڷ罺 ±×·ìÀÌ DLL Side-Loading ±â¹ýÀ» »ç¿ëÇØ ¾Ç¼ºÄڵ带 ½ÇÇàÇÏ´Â ÇàÀ§´Â ÀÌ¹Ì ¿©·¯ Â÷·Ê È®ÀÎµÈ ¹Ù ÀÖ´Ù. °ø°ÝÀÚ´Â DLL Side-Loading ±â¹ý¿¡ »ç¿ëÇÏ´Â Á¤»ó ÇÁ·Î¼¼½º À̸§À» Áö¼ÓÀûÀ¸·Î º¯°æÇØ ¿Ô´Ù.

°ø°ÝÀÚ´Â w3wp.exe¸¦ ÅëÇØ Wordconv.exe, msvcr100.dll, msvcr100.datÀ» »ý¼ºÇÏ°í Wordconv.exe¸¦ ½ÇÇàÇß´Ù. Wordconv.exeÀÇ ÀÓÆ÷Æ® DLL ¸ñ·Ï¿¡´Â msvcr100.dllÀÌ Á¸ÀçÇϱ⠶§¹®¿¡ Wordconv.exe°¡ ½ÇÇàµÉ °æ¿ì ¿î¿µÃ¼Á¦ÀÇ DLL °Ë»ö ¼ø¼­¿¡ µû¶ó µ¿ÀÏ °æ·ÎÀÇ DLL ÆÄÀÏÀ» ¸ÕÀú ·ÎµåÇÑ´Ù. °á°úÀûÀ¸·Î ¾Ç¼º msvcr100.dllÀÌ Wordconv.exe ÇÁ·Î¼¼½ºÀÇ ¸Þ¸ð¸®¿¡¼­ ½ÇÇàµÈ´Ù.

¡ãWordconv.exeÀÇ ÀÓÆ÷Æ® DLL ¸ñ·Ï[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ]


msvcr100.dllÀÇ ±â´ÉÀº Wordconv.exe ½ÇÇà ½ÃÁ¡¿¡ ½ÇÇà ÀÎÀÚ·Î Àü´Þ¹ÞÀº ƯÁ¤ Å°¿Í ÀÎÄÚµùµÈ PE ÆÄÀÏÀ» Salsa20 ¾Ë°í¸®ÁòÀ» ÅëÇØ º¹È£È­ÇØ ¸Þ¸ð¸® »ó¿¡¼­ PE ÆÄÀÏÀ» ½ÇÇàÇÏ´Â °ÍÀÌ´Ù. ±×¸®°í FreeLibraryAndExitThread WinAPI È£ÃâÀ» ÅëÇØ ·ÎµåµÈ ¾Ç¼º DLL ¸ðµâÀ» ÇØÁ¦ÇÑ µÚ ÀÚ±â ÀڽŠmsvcr100.dll ÆÄÀÏÀ» »èÁ¦ÇÏ´Â ±â´ÉÀ» ¼öÇàÇÑ´Ù. ¶ÇÇÑ, msvcr100.dllÀº Áö³­ÇØ ¹ß°ßµÈ cylvc.dll ¾Ç¼ºÄÚµåÀÇ ±â´É°ú ¿ÜÇüÀÌ ¸Å¿ì À¯»çÇÑ °ÍÀ¸·Î ¹Ì·ïº¼ ¶§ cylvc.dllÀÇ º¯Çü ¾Ç¼ºÄÚµå·Î ÃßÁ¤µÈ´Ù.

cylvc.dllÀº msvcr100.dll¿Í µ¿ÀÏÇÑ ¹æ½ÄÀ¸·Î Salsa20 ¾Ë°í¸®ÁòÀ» ÅëÇØ dat È®ÀåÀÚ¸¦ °®´Â µ¥ÀÌÅÍ ÆÄÀÏÀ» º¹È£È­ÇÑ µÚ ¸Þ¸ð¸®»ó¿¡¼­ PE¸¦ ½ÇÇàÇß´Ù. Áö³­ÇØ ¸Þ¸ð¸®»ó¿¡¼­ ½ÇÇàµÈ PE´Â °ø°ÝÀÚ ¸í·ÉÁ¦¾î(C&C) ¼­¹ö¿Í Åë½ÅÇÏ´Â ¹éµµ¾î ¾Ç¼ºÄڵ忴´Ù.

°ø°ÝÀÚ´Â Ãʱâ ħÅõ¿¡ ÀÌ¾î °ÅÁ¡ È®º¸¸¦ ¼öÇàÇÑ µÚ Notepad++ Ç÷¯±×ÀÎÀ¸·Î ¾Ë·ÁÁø ¡®Color picker plugin¡¯ ¿ÀǼҽº¸¦ ¾Ç¿ëÇÑ Ãß°¡ ¾Ç¼ºÄÚµå(diagn.dll)¸¦ »ý¼ºÇß´Ù. diagn.dllÀÇ ±â´ÉÀº RC6 ¾Ë°í¸®ÁòÀ¸·Î ÀÎÄÚµùµÈ PE ÆÄÀÏÀ» ½ÇÇà ÀÎÀÚ °ªÀ¸·Î Àü´Þ¹Þ¾Æ ³»ºÎ¿¡ ÇϵåÄÚµùµÈ Å°·Î µ¥ÀÌÅÍ ÆÄÀÏÀ» º¹È£È­ÇØ ¸Þ¸ð¸® »ó¿¡¼­ PE ÆÄÀÏÀ» ½ÇÇàÇÑ´Ù.

¡ãColor picker plugin ¿ÀǼҽº ÆäÀÌÁö(github)[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ]


°ø°Ý ´ç½ÃÀÇ ÀÎÄÚµùµÈ PE µ¥ÀÌÅÍ ÆÄÀÏÀÌ ¼öÁýµÇÁö ¾Ê¾Æ ¸Þ¸ð¸® »ó¿¡¼­ ½ÇÇàµÈ PE ÆÄÀÏÀÇ ¾Ç¼º ÇàÀ§¿¡ ´ëÇØ ¾Ë ¼ö ¾ø¾úÁö¸¸, °ø°ÝÀÚ°¡ ÇØ´ç ¸ðµâÀ» ÅëÇØ lsass.exe ÇÁ·Î¼¼½º ¸Þ¸ð¸®¿¡ Á¢±ÙÇÑ ÀÌ·ÂÀÌ È®ÀεƴÙ. µû¶ó¼­ °ø°ÝÀÚ´Â ¡®¹Ì¹ÌÄ«Ã÷¡¯¿Í °°Àº ÀÚ°ÝÁõ¸í Á¤º¸ Å»Ãë µµ±¸¸¦ ½ÇÇàÇÑ °ÍÀ¸·Î ÃßÁ¤µÈ´Ù.

½Ã½ºÅÛ ÀÚ°ÝÁõ¸í Á¤º¸¸¦ ȹµæÇÑ °ø°ÝÀÚ´Â ³»ºÎ Á¤ÂûÀ» ¼öÇàÇÑ µÚ ¿ø°Ý Á¢¼Ó(3389 Æ÷Æ®)À» ÀÌ¿ëÇØ ³»ºÎ ³×Æ®¿öÅ©·Î Ãø¸é À̵¿(Lateral Movement)À» ÁøÇàÇß´Ù. Ãø¸é À̵¿ ÀÌÈÄ °ø°ÝÀÚÀÇ Ãß°¡ ¾Ç¼º ÇàÀ§´Â ÇöÀç±îÁö È®ÀεÇÁö ¾Ê¾Ò´Ù.

¶óÀڷ罺 ÇØÅ·±×·ìÀº Ãʱâ ħÅõ¸¦ À§ÇØ Log4Shell, °øµ¿ÀÎÁõ¼­ Ãë¾àÁ¡, 3CX °ø±Þ¸Á °ø°Ý µî ´Ù¾çÇÑ °ø°Ý º¤Å͸¦ »ç¿ëÇÏ´Â Á¶Á÷À¸·Î, ¸Å¿ì À§ÇùÀûÀÌ°í Àü ¼¼°èÀûÀ¸·Î È°¹ßÇÏ°Ô È°µ¿ÇÏ´Â °ø°Ý ±×·ì Áß Çϳª´Ù.

ASEC °ü°èÀÚ´Â ¡°±â¾÷ º¸¾È´ã´çÀÚ´Â °ø°Ý Ç¥¸é °ü¸®¸¦ ÅëÇØ °ø°ÝÀÚ¿¡°Ô ³ëÃâµÉ ¼ö ÀÖ´Â ÀÚ»êÀ» ½Äº°ÇÏ°í Áö¼ÓÀûÀ¸·Î ÃֽŠº¸¾È ÆÐÄ¡ µîÀ» °ü¸®ÇØ¾ß ÇÑ´Ù¡±¸ç ¡°°ø°ÝÀÚ´Â Dll Side-loading ±â¹ýÀ» Ãʱâ ħÅõ¿¡ ÁÖ·Î »ç¿ëÇÏ°í Àֱ⠶§¹®¿¡ ±â¾÷¿¡¼­´Â ºñÁ¤»óÀûÀÎ ÇÁ·Î¼¼½º ½ÇÇà °ü°è µîÀ» ¸ð´ÏÅ͸µÇØ °ø°ÝÀÚ°¡ Á¤º¸ Å»Ãë, Ãø¸é À̵¿ µîÀ» ¼öÇàÇÏÁö ¸øÇϵµ·Ï ¼±Á¦ÀûÀ¸·Î ´ëÀÀÇÏ´Â °ÍÀÌ ÇÊ¿äÇÏ´Ù¡±°í ¸»Çß´Ù.
[±è¿µ¸í ±âÀÚ(boan@boannews.com)]

<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>

  •  
  • 0
  • ÆäÀ̽ººÏ º¸³»±â Æ®À§ÅÍ º¸³»±â ³×À̹ö ¹êµå º¸³»±â Ä«Ä«¿À ½ºÅ丮 º¸³»±â ³×À̹ö ºí·Î±× º¸³»±â

  • ¡°
  •  SNS¿¡¼­µµ º¸¾È´º½º¸¦ ¹Þ¾Æº¸¼¼¿ä!! 
  • ¡±
 ÇÏÀÌÁ¨ ÆÄ¿öºñÁî 23³â 11¿ù 16ÀÏ~2024³â 11¿ù 15ÀϱîÁö ¾Æ½ºÆ®·Ð½ÃÅ¥¸®Æ¼ ÆÄ¿öºñÁî 2023³â2¿ù23ÀÏ ½ÃÀÛ ³Ý¾Øµå ÆÄ¿öºñÁî ÁøÇà 2020³â1¿ù8ÀÏ ½ÃÀÛ~2021³â 1¿ù8ÀϱîÁö À§Áîµð¿£¿¡½º 2018
¼³¹®Á¶»ç
ÃÖ±Ù ¹ß»ýÇÑ Å©¶ó¿ìµå ½ºÆ®¶óÀÌÅ©ÀÇ º¸¾È SW ¾÷µ¥ÀÌÆ® ¿À·ù »çÅÂó·³ SW °ø±Þ¸Á¿¡ º¸¾ÈÀ̽´°¡ ¹ß»ýÇÒ °æ¿ì °ü·ÃµÈ °¢Á¾ ½Ã½ºÅÛ ¹× IT ÀÎÇÁ¶ó ¸¶ºñ°¡ ÀϾ ¼ö ÀÖ´Ù´Â °Ô µå·¯³µ½À´Ï´Ù. ÀÌ·¯ÇÑ °ø±Þ¸Á º¸¾ÈÀ» À§ÇùÇÏ´Â °¡Àå Å« ¿äÀÎÀº ¹«¾ùÀ̶ó°í »ý°¢ÇϽóª¿ä?
·£¼¶¿þ¾î, ÇÇ½Ì µîÀÇ »çÀ̹ö °ø°Ý
SW ¾÷µ¥ÀÌÆ® ¹× SW ±³Ã¼ °úÁ¤¿¡¼­ÀÇ ¿À·ù
SW ÀÚü¿¡ Á¸ÀçÇÏ´Â º¸¾È Ãë¾àÁ¡
½Ã½ºÅÛ °ü¸®ÀÚÀÇ ¿î¿µ»ó ½Ç¼ö ¹× °ü¸® ¹ÌÈí
±âŸ(´ñ±Û·Î)